Formulare sind einer der Wege, über die personenbezogene Daten auf eine Website gelangen, und Aufsichtsbehörden schauen sie sich früh an. Sie gehören auch in jedes Cookie-Audit der Website, weil viele Formular-Tools eigene Skripte und Cookies laden. Dieser Leitfaden behandelt die Einwilligung: was in der Checkbox stehen sollte, was das Formular mitteilen muss und wie Sie den Nachweis führen.
Was ist ein DSGVO-Einwilligungsformular?
Art. 4 Nr. 11 DSGVO definiert die Einwilligung als „freiwillig für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung" in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. Das Einwilligungsformular ist der Ort, an dem diese Handlung stattfindet: eine Checkbox ankreuzen, einen Button klicken, ein Dokument unterschreiben.
Ein einheitliches amtliches Muster gibt es nicht. Eine Fotoeinwilligung auf Papier, ein Newsletter-Formular und der Cookie-Banner auf Ihrer Startseite sind alle Einwilligungsformulare, sobald sie sich auf diese Rechtsgrundlage stützen. Gemeinsam sind ihnen die Voraussetzungen, die unser Leitfaden zu den Voraussetzungen der DSGVO-Einwilligung einzeln erklärt.
Wann braucht ein Formular eine Einwilligung?
Die Einwilligung ist nur eine von sechs Rechtsgrundlagen in Art. 6 DSGVO. Viele Formulare brauchen sie nicht, und eine unnötig eingeholte Einwilligung schafft Probleme: Widerruft die Person, müssten Sie eine Verarbeitung beenden, die Sie eigentlich brauchen.
- Kontaktformular: Die Antwort auf die Anfrage ist genau das, was die Person möchte. Rechtsgrundlage ist meist Art. 6 Abs. 1 lit. b (vorvertragliche Maßnahmen) oder das berechtigte Interesse. Für das Absenden ist keine Checkbox nötig.
- Bestellung oder Kundenkonto: Die für Lieferung und Konto nötigen Daten stützen sich auf den Vertrag.
- Newsletter und E-Mail-Werbung: in den meisten Fällen Einwilligung. In Deutschland regelt § 7 UWG die E-Mail-Werbung; ohne ausdrückliche Einwilligung ist sie nur bei Bestandskunden für ähnliche Produkte zulässig, mit Widerspruchsmöglichkeit bei der Erhebung und in jeder E-Mail.
- Besondere Kategorien (Gesundheit, Religion, Biometrie): ausdrückliche Einwilligung nach Art. 9, sofern keine andere Ausnahme greift.
- Cookies und Tracker, die nicht unbedingt erforderlich sind: Einwilligung nach § 25 TDDDG.
Die Faustregel: Fragen Sie nur dann nach einer Einwilligung, wenn der Zweck für die Person optional ist. Unser Vergleich Opt-in und Opt-out erklärt, warum das europäische Modell beim „Nein" beginnt.
Was ein DSGVO-konformes Einwilligungsformular enthalten muss
Es braucht zwei Ebenen: die Einwilligung selbst und die Informationen nach Art. 13 DSGVO.
Die Einwilligungs-Checkbox
- Eine nicht angekreuzte Checkbox oder eine aktive Wahl. Erwägungsgrund 32 stellt klar, dass Stillschweigen, vorangekreuzte Kästchen und Untätigkeit keine Einwilligung sind. Der EuGH hat das für vorangekreuzte Kästchen im Urteil Planet49 (C-673/17, 2019) bestätigt.
- Eine Checkbox pro Zweck. Newsletter, Partnerangebote und Profiling sind drei Zwecke, also drei Entscheidungen.
- Keine Kopplung an die AGB. Art. 7 Abs. 2 verlangt, dass das Ersuchen um Einwilligung von anderen Sachverhalten klar zu unterscheiden ist. „Ich akzeptiere die AGB und möchte Angebote erhalten" reicht nicht.
- Keine Bedingung für eine Leistung, die diese Daten nicht braucht (Art. 7 Abs. 4).
Die Pflichtinformationen am Formular
Art. 13 listet, was Personen bei der Erhebung erfahren müssen. In der Praxis ein kurzer Hinweis am Button und ein Link zur Datenschutzerklärung:
- wer verantwortlich ist und wie der Datenschutzbeauftragte erreichbar ist;
- der Zweck jeder Verarbeitung und ihre Rechtsgrundlage;
- die Empfänger, auch Auftragsverarbeiter wie Ihr Newsletter-Dienst;
- die Speicherdauer;
- das Recht, die Einwilligung jederzeit zu widerrufen, und die übrigen Rechte (Auskunft, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde);
- Übermittlungen in Drittländer, falls vorhanden.
Auch die Art der Einwilligung zählt: Unser Artikel über ausdrückliche und konkludente Einwilligung erklärt, wann eine bestätigende Handlung genügt und wann eine ausdrückliche Erklärung nötig ist.
7 Beispiele für DSGVO-Einwilligungsformulare
Die Mustertexte sind ein Ausgangspunkt. Passen Sie Firmenname, Zwecke und Speicherfristen an Ihre tatsächliche Verarbeitung an.
1. Newsletter-Anmeldung
> ☐ Ich möchte den Newsletter von [Firma] erhalten (eine E-Mail pro Monat mit Produktneuheiten und Leitfäden). Ich kann mich jederzeit über den Link in jeder E-Mail abmelden.
>
> [Firma] nutzt Ihre E-Mail-Adresse nur für diesen Newsletter, versendet über [Newsletter-Dienst]. Sie wird bis zur Abmeldung gespeichert. Mehr in unserer Datenschutzerklärung.
Die Checkbox ist leer, Häufigkeit und Inhalt sind genannt, der Widerrufsweg ist beschrieben. In Deutschland folgt darauf üblicherweise ein Double-Opt-in per Bestätigungslink.
2. Kontaktformular
> Wir verwenden Ihren Namen und Ihre E-Mail-Adresse, um Ihre Anfrage zu beantworten. Die Daten werden 12 Monate nach unserem letzten Austausch gelöscht. Ihre Rechte finden Sie in unserer Datenschutzerklärung.
Keine Checkbox: Die Antwort ist genau das, worum die Person bittet. Eine Box „Ich willige in die Verarbeitung meiner Daten ein" ist hier unnötig und erweckt den Eindruck, ohne sie gäbe es keine Antwort. Wenn Sie die Person zusätzlich in einen Verteiler aufnehmen möchten, fügen Sie eine eigene, freiwillige, nicht angekreuzte Checkbox hinzu.
3. Kundenkonto oder Checkout
> ☐ Senden Sie mir Angebote und Neuheiten per E-Mail.
> ☐ Geben Sie meine E-Mail-Adresse an [Partner] weiter, damit er mir eigene Angebote senden kann.
Die Bestellung funktioniert unabhängig von der Wahl. Jeder optionale Zweck hat eine eigene Checkbox, der Partner wird benannt.
4. Inhalte gegen E-Mail (Whitepaper, Vorlage, Webinar)
Den Download an eine Newsletter-Einwilligung zu koppeln, ist nach Art. 7 Abs. 4 riskant: Die Einwilligung ist nicht mehr freiwillig, wenn es den Inhalt nur mit ihr gibt. Sicherer ist:
> Geben Sie Ihre E-Mail-Adresse ein, um den Leitfaden zu erhalten.
> ☐ Ich möchte zusätzlich den monatlichen Newsletter erhalten.
5. Fotoeinwilligung
> ☐ Ich bin einverstanden, dass Fotos von mir, aufgenommen bei [Veranstaltung], auf der Website von [Firma] veröffentlicht werden.
> ☐ Ich bin einverstanden, dass sie auf den Social-Media-Kanälen von [Firma] veröffentlicht werden.
Getrennte Kanäle, getrennte Checkboxen. Bei Minderjährigen ist die Zustimmung der Eltern nötig. Für Online-Dienste, die sich direkt an Kinder richten, liegt die Altersgrenze nach Art. 8 DSGVO in Deutschland bei 16 Jahren.
6. Gesundheitsdaten oder Forschung
> ☐ Ich willige ausdrücklich ein, dass [Organisation] die oben beschriebenen Gesundheitsdaten für [Studie] verarbeitet, wie in der Teilnehmerinformation erläutert.
Art. 9 verlangt eine ausdrückliche Einwilligung: eine eindeutige Erklärung, oft mit Unterschrift oder zweitem Bestätigungsschritt.
7. Der Cookie-Banner
Der Cookie-Banner ist das Einwilligungsformular, das die meisten Besucher sehen. Es gelten dieselben Regeln: keine vorausgewählten Kategorien, „Ablehnen" so sichtbar wie „Akzeptieren", eine Wahl pro Zweck und eine Möglichkeit, die Entscheidung später zu ändern. Unsere DSGVO Cookie-Banner Beispiele zeigen gute und schlechte Varianten. Sie wissen nicht genau, was Ihr Banner tatsächlich blockiert? Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt.
Formulierungen, die Sie vermeiden sollten
- „Mit der Nutzung dieser Website stimmen Sie zu…": Weitersurfen ist keine eindeutige bestätigende Handlung.
- „Ich willige in die Verarbeitung meiner personenbezogenen Daten ein" ohne Zweck: weder bestimmt noch informiert.
- Juristendeutsch oder eine seitenlange Erklärung im Pop-up: Das Ersuchen muss in klarer und einfacher Sprache erfolgen.
- Ein Widerruf, der schwieriger ist als die Anmeldung, etwa „schreiben Sie uns per Post". Art. 7 Abs. 3 verlangt, dass der Widerruf so einfach ist wie die Erteilung.
- Formulierungen, die Druck machen („Nein danke, ich spare nicht gern"): Manipulative Gestaltung untergräbt die Freiwilligkeit.
Einwilligungen aus Formularen nachweisen
Art. 7 Abs. 1 legt die Beweislast auf Sie: Sie müssen nachweisen können, dass die Person eingewilligt hat. Halten Sie zu jeder Einwilligung fest:
- wer eingewilligt hat (eine Kennung wie die E-Mail-Adresse, nicht mehr Daten als nötig);
- wann (Datum und Uhrzeit);
- was angezeigt wurde (Version von Formular und Hinweistext);
- wozu eingewilligt wurde (jede angekreuzte Checkbox);
- wie (Webformular, Papier, Bestätigung per Double-Opt-in);
- ob und wann die Einwilligung widerrufen wurde.
Das Double-Opt-in, bei dem die Person über einen per E-Mail gesendeten Link bestätigt, steht nicht in der DSGVO, ist in Deutschland aber der übliche Weg, um nachzuweisen, dass die Adresse wirklich der Person gehört, die die Checkbox angekreuzt hat. Für Cookies gilt dieselbe Logik: Unser Leitfaden zum Nachweis der Cookie-Einwilligung listet, was Sie speichern sollten und wie lange.
Prüfen Sie schließlich, was die Formularseite selbst lädt. Eingebettete Formular-Tools, Chat-Widgets und reCAPTCHA können Cookies setzen, bevor eine Entscheidung gefallen ist. Unser Artikel Cookies einer Website anzeigen zeigt, wie Sie sie im Browser finden.
Checkliste für jedes Einwilligungsformular
- Die Rechtsgrundlage für jeden Zweck festlegen und nur für optionale Zwecke um Einwilligung bitten.
- Eine nicht angekreuzte Checkbox pro Zweck, getrennt von den AGB.
- Ein kurzer Hinweis mit Verantwortlichem, Zwecken, Empfängern, Speicherdauer und Rechten.
- Ein Widerrufsweg, der so einfach ist wie die Anmeldung, direkt am Formular genannt.
- Ein Nachweis zu wer, wann, was und wie, verknüpft mit der Formularversion.
- Ein Test der Seite im privaten Fenster, um zu sehen, welche Skripte vor der Einwilligung laden.
Wie FlowConsent Einwilligungsformulare umsetzt
FlowConsent übernimmt das Einwilligungsformular, das Besucher zuerst sehen: den Cookie-Banner. Er blockiert nicht notwendige Skripte vor der Einwilligung, gewichtet „Akzeptieren" und „Ablehnen" gleich, bietet eine Wahl pro Kategorie und speichert jede Entscheidung als exportierbaren Nachweis. Der automatische Scan erkennt auch Cookies, die eingebettete Formular-Tools auf Ihren Seiten setzen. Ihre eigenen Anmelde- und Werbeformulare bleiben in Ihrer Hand: FlowConsent erstellt sie nicht. Die Consent-Webhooks senden aber bei jeder Zustimmung, Ablehnung oder jedem Widerruf ein signiertes Ereignis an Ihren Server, damit Ihre Nachweise an einem Ort bleiben. FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos und in etwa zehn Minuten installiert.